EU-Mustervertragsklauseln für KI als Pilotprojekt für die Beschaffung von KI

In einem Projekt wurden Mustervertragsklauseln vorgestellt: Diese EU-Mustervertragsklauseln für KI wurden entworfen und von Experten begutachtet. Sie richten sich an öffentliche Einrichtungen, die ein KI-System von einem externen Anbieter erwerben möchten. Es gibt eine Version für risikoreiche KI-Systeme, die den in Artikel 6 des vorgeschlagenen KI-Gesetzes definierten „risikoreichen“ Systemen entspricht, und eine Version für nicht risikoreiche KI-Systeme.

Die Klauseln sind spezifisch für KI-Systeme und decken Aspekte des vorgeschlagenen KI-Gesetzes ab, ohne andere relevante Gesetze wie die Datenschutz-Grundverordnung einzubeziehen. Sie sind nicht als vollständige vertragliche Vereinbarung gedacht, sondern müssen an den jeweiligen Kontext angepasst werden. Die Klauseln sind in alle EU-Sprachen übersetzt und werden durch einen erläuternden Vermerk ergänzt.

Predictive Policing: Automatisierte Datenanalyse und Informationelle Selbstbestimmung

Die Zukunft der Kriminalitätsbekämpfung liegt wahrscheinlich in einem Wandel von der reinen Reaktion hin zur Prävention. Technisch möglich wird dieser Wandel durch die Kombination zweier technologischer Entwicklungen: Auf der einen Seite eine eklatante Anhäufung von Daten („Big Data“) und auf der anderen Seite die zunehmende Möglichkeit, durch bestimmte Formen künstlicher Intelligenz diese Daten nicht nur auszuwerten, sondern daraus auch brauchbare statistische Vorhersagen zu gewinnen. Dies ermöglicht zumindest theoretisch die Vorhersage des Auftretens von Straftaten, das sogenannte Predictive Policing.

Das Bundesverfassungsgericht hatte nun erstmals Gelegenheit, sich zu diesem Thema zu äußern. Die Entscheidung dürfte für Jahrzehnte richtungsweisend sein. Sie beginnt wenig überraschend mit der Klarstellung, dass, wenn gespeicherte Datenbestände mittels einer automatisierten Anwendung zur Analyse oder Auswertung von Daten verarbeitet werden, dies einen Eingriff in die informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) all derjenigen darstellt, deren Daten bei diesem Vorgang personenbezogen verwendet werden (1 BvR 1547/19 und 1 BvR 2634/20). Betroffen sind also nicht nur die Personen, die am Ende der Auswertung möglicherweise Gegenstand von (weiteren) Ermittlungsmaßnahmen sind.

Ebenso hat das Bundesverfassungsgericht ausdrücklich klargestellt, dass dann, wenn die entsprechende automatisierte Datenanalyse oder -auswertung einen schwerwiegenden Eingriff in das informationelle Selbstbestimmungsrecht ermöglicht, dieser nur unter den engen Voraussetzungen gerechtfertigt werden kann, wie sie allgemein für eingriffsintensive heimliche Überwachungsmaßnahmen gelten. Das heißt: nur zum Schutz besonders gewichtiger Rechtsgüter, sofern für diese eine zumindest hinreichend konkrete Gefahr besteht.

Auf das Erfordernis einer zumindest hinreichend konkretisierten Gefahr für besonders wichtige Rechtsgüter kann aus verfassungsrechtlicher Sicht nur dann verzichtet werden, wenn die zulässigen Analyse- und Auswertungsmöglichkeiten durch Regelungen insbesondere zur Begrenzung von Art und Umfang der Daten und zur Beschränkung der Datenverarbeitungsmethoden normenklar und hinreichend bestimmt so eng begrenzt werden, dass das Eingriffsgewicht der Maßnahmen erheblich reduziert wird. Dabei hat das BVerfG sogar einen Kriterienkatalog für die jeweilige Abwägung gleich mitgeliefert, der äußerst umfangreich ist, zugleich aber eine formelhafte Betrachtung im Keim unterbindet.

Predictive Policing: Automatisierte Datenanalyse und Informationelle Selbstbestimmung weiterlesen

Nach Ansicht des Gerichtshofs erfordert die Achtung der Grundrechte eine Beschränkung der in der PNR-Richtlinie vorgesehenen Befugnisse auf das absolut Notwendige

Besteht keine reale und aktuelle oder vorhersehbare terroristische Bedrohung eines Mitgliedstaats, steht das
Unionsrecht nationalen Rechtsvorschriften entgegen, die eine Übermittlung und Verarbeitung von PNR-Daten
bei EU-Flügen sowie bei Beförderungen mit anderen Mitteln innerhalb der Union vorsehen, so der EUGH (C-817/19).

Die PNR-Richtlinie schreibt zur Bekämpfung von Terrorismus und schwerer Kriminalität die systematische Verarbeitung einer großen Zahl von PNR-Daten (Passager Name Record) der Fluggäste von Flügen zwischen der Union und Drittstaaten (Drittstaatsflüge) bei der Einreise in die bzw. der Ausreise aus der Union vor. Darüber hinaus können die Mitgliedstaaten diese Richtlinie nach ihrem Art. 2 auch auf Flüge innerhalb der Union (EU-Flüge) anwenden.

Hinweis: Die Entscheidung ist ein Meilenstein in der Bewertung der Zulässigkeit von KI-Lösungen speziell mit Blick auf Ethik und Diskriminierung!

Nach Ansicht des Gerichtshofs erfordert die Achtung der Grundrechte eine Beschränkung der in der PNR-Richtlinie vorgesehenen Befugnisse auf das absolut Notwendige weiterlesen